Étude Spoofhound · publiée le 2026-10-17
État des lieux DMARC 2026 — France
84 % des domaines français peuvent être usurpés par e-mail.
Spoofhound a analysé le web français — chaque domaine .fr recevant de l'e-mail dans le top un million de Tranco, plus 63 069 entreprises françaises cartographiées, soit 71 101 domaines au total — avec le même moteur que notre vérification de domaine gratuite. Voici à quoi ressemble réellement la sécurité e-mail française en 2026.
Vérifiez votre domaine — gratuitLe chiffre clé
84 % des domaines français qui reçoivent de l'e-mail peuvent être usurpés. Sur 71 101 domaines français vérifiés, 59 920 ne publient aucun enregistrement DMARC, le laissent en mode surveillance seule, ou publient un enregistrement défectueux — les systèmes de messagerie destinataires ne reçoivent donc jamais l'instruction de bloquer les faux messages envoyés en leur nom.
Trois chiffres racontent l'histoire :
- •84,3 % des domaines français recevant de l'e-mail n'ont aucune politique DMARC appliquée. Moins d'un sur six (15,7 %) demande au monde de mettre en quarantaine ou de rejeter les imposteurs.
- •Le fossé des petites entreprises : 87 % exposées, contre 44 % pour le web populaire. Les entreprises françaises de une à trois implantations appliquent DMARC à 13,4 % ; les 100 000 sites français les mieux classés atteignent 55,8 %. Les entreprises les moins capables de survivre à une fraude à la facture sont les moins protégées.
- •Le domaine français moyen obtient 32,8 sur 100 au contrôle complet de sécurité e-mail (SPF, DKIM, DMARC, MTA-STS, TLS-RPT, BIMI) ; 89,9 % ont au moins un problème à corriger.
DMARC sur le web français
Près de la moitié des domaines français recevant de l'e-mail (47,4 %) ne publient aucun enregistrement DMARC — le serveur destinataire ne reçoit ni politique ni adresse de rapport, et le propriétaire n'apprend donc jamais que son domaine est utilisé abusivement. 36,5 % supplémentaires publient un enregistrement mais le laissent en p=none : ils reçoivent peut-être des rapports, mais les messages d'imposteurs arrivent toujours en boîte de réception. Les 318 enregistrements défectueux (doublons, politiques mal orthographiées comme « quarentine ») sont traités par les destinataires exactement comme une absence d'enregistrement.
Le reste de la chaîne
DMARC est la couche d'application, mais l'analyse couvre toute la chaîne. Parmi les mêmes 71 101 domaines français recevant de l'e-mail :
| Contrôle | Constat | Domaines |
|---|---|---|
| SPF | Aucun enregistrement — n'importe quel serveur peut envoyer au nom du domaine | 6 511 (9,2 %) |
| SPF | L'enregistrement se termine par +all ou ?all — publié, mais autorise tout le monde | 5 132 (7,2 %) |
| DKIM Microsoft 365 | Les deux sélecteurs de signature sont cassés — leur courrier sortant peut échouer à l'authentification dès aujourd'hui | 158 |
| MTA-STS | Protège le courrier entrant contre l'interception — adopté | 276 (0,4 %) |
| TLS-RPT | Signale les échecs de livraison sécurisée — adopté | 414 (0,6 %) |
| BIMI | Logo vérifié dans la boîte de réception — actif | 532 (0,7 %) |
Les couches chiffrement et image de marque existent à peine en France : moins d'un domaine sur cent a MTA-STS, TLS-RPT ou BIMI. Pour les précurseurs, c'est une opportunité — un logo vérifié et une sécurité de transport appliquée restent ici des différenciateurs, pas des prérequis.
Petites entreprises contre web populaire
C'est la répartition qu'aucune autre étude ne mesure : les rapports du secteur échantillonnent les sites populaires, précisément là où le problème n'est pas.
| Population | Domaines vérifiés | Aucun enregistrement DMARC | Surveillance seule | Appliqué |
|---|---|---|---|---|
| Entreprises françaises de 1 à 3 implantations (commerces, cabinets, artisans) | 61 305 | 50,2 % | 35,9 % | 13,4 % |
| Les 100 000 sites français les mieux classés | 1 472 | 13,4 % | 30,7 % | 55,8 % |
Le web populaire a largement fait le travail — poussé par les règles d'expéditeurs 2024 de Google et Yahoo et par les équipes sécurité. La boulangerie, le cabinet d'avocats et le garage n'ont personne pour les pousser : 86,6 % des petites entreprises françaises peuvent être usurpées par e-mail, et la plupart n'ont pas d'adresse de rapport — elles ne le sauraient donc jamais. Ce sont pourtant les entreprises où une seule fausse facture envoyée à un client, ou un seul message usurpé à leur comptable, est un événement existentiel.
Qui est le plus exposé
Les données d'entreprises étant cartographiées, l'exposition se lit par métier. Application par secteur, du pire au meilleur (entreprises françaises, secteurs de 400 domaines vérifiés ou plus) :
| Secteur | Domaines | Aucun enregistrement DMARC | Appliqué |
|---|---|---|---|
| Coiffeurs | 1 477 | 66,8 % | 6,0 % |
| Librairies | 1 145 | 58,0 % | 6,9 % |
| Opticiens | 916 | 56,6 % | 7,5 % |
| Cavistes | 882 | 48,6 % | 7,8 % |
| Instituts de beauté | 1 256 | 54,9 % | 8,0 % |
| Garages / réparation auto | 1 243 | 67,7 % | 8,5 % |
| Boulangeries | 1 048 | 56,3 % | 9,3 % |
| Concessionnaires auto | 1 447 | 61,1 % | 9,6 % |
| Agences immobilières | 3 771 | 59,0 % | 10,2 % |
| Magasins de vêtements | 1 976 | 38,5 % | 16,3 % |
| Bureaux d'entreprises | 5 041 | 38,3 % | 26,7 % |
| Administrations publiques | 1 322 | 29,0 % | 35,8 % |
Deux lectures sautent aux yeux. Les agences immobilières — des entreprises qui envoient couramment des coordonnées bancaires par e-mail pour les dépôts de garantie et les loyers — appliquent DMARC à 10,2 %, et 59 % ne publient rien du tout ; c'est peut-être le secteur non protégé aux enjeux les plus élevés de France. Et le gradient des coiffeurs (6 %) aux administrations (36 %) suit le support informatique, pas le risque : la protection va là où sont les informaticiens, pas là où est l'exposition à la fraude.
Méthodologie
Population. 71 101 domaines français qui reçoivent de l'e-mail (enregistrements MX fonctionnels), issus de deux sources : chaque domaine .fr du classement de recherche Tranco top 1 million des sites populaires (12 412 recevant de l'e-mail), et 63 069 entreprises françaises cartographiées sur OpenStreetMap avec leur propre site web (toute extension ; pages de plateformes et profils sociaux exclus). 4 380 domaines figurent dans les deux. Les domaines sans MX et les domaines de pages hébergées que l'entreprise ne contrôle pas sont exclus.
Contrôles. Chaque domaine a été analysé par le moteur de Spoofhound — le même que celui de la vérification de domaine gratuite — couvrant SPF, DKIM (29 sélecteurs courants), DMARC, MTA-STS, TLS-RPT et BIMI, via DNS et récupération des fichiers de politique. Chaque chiffre reflète une analyse effectuée dans les 30 jours précédant le 2026-10-17.
Limites assumées. DKIM ne peut être confirmé que présent, jamais absent — aucune affirmation d'absence de DKIM n'est donc faite. L'échantillon d'entreprises couvre les entreprises cartographiées avec site web, ce qui penche vers les métiers visibles orientés grand public. « Appliqué » signifie p=quarantine ou p=reject sur le domaine organisationnel ; pct<100 et les enregistrements défectueux sont comptés comme non appliqués, comme les traitent les destinataires.
Données © contributeurs OpenStreetMap (ODbL) · liste Tranco du projet de recherche Tranco.
Où se situe votre domaine dans ces chiffres ? Découvrez-le en 30 secondes.
Vérifiez votre domaine — gratuit